Три ИИ-агента без участия человека взломали десятки компаний и похитили более 600 000 банковских карт

Компания Gambit Security сообщила, что финансово мотивированный оператор — предположительно китаеязычный, судя по формулировкам промптов — с июля 2026 года использует три открытых ИИ-агента для атак на сотни онлайн-ритейлеров.

Только между 10 и 15 сентября оператор запустил 105 атакующих проектов, в результате которых в разной степени пострадали минимум 27 компаний. Среди жертв — участник списка Fortune 500 из гостиничного сектора, крупная американская авиакомпания, крупный дистрибьютор промышленных товаров и онлайн-ритейлер модной одежды.

На тестовом сервере оператора исследователи нашли более 600 000 записей действующих банковских карт, извлечённых из баз двух компаний. Совместно с Overwatch Data специалисты составили разбивку по странам держателей: 488 372 карты (79%) принадлежат гражданам США, далее следуют ОАЭ (13 559), Саудовская Аравия (6 785) и Великобритания (6 522). Суммарно по таблице стран в отчёте фигурирует 617 938 записей. Связанный с кампанией веб-скиммер для кражи данных карт нашли более чем на 100 сайтах, а на 19 из 27 названных жертв подтвердили, что установку скрипта заказывал сам оператор.

Как распределялись роли между агентами

Три системы действовали практически автономно, оператор лишь выбирал цели и периодически отправлял короткие промпты на китайском — всего 1951 сообщение за 260 сессий:

• Strix занимался поиском уязвимостей: с 23 по 31 августа он провёл 146 сканирований в глубоком режиме против 138 хостов

• Cairn на базе DeepSeek v4.1 Flash самостоятельно выстраивал цепочки эксплуатации вплоть до получения shell- или admin-доступа

• Hermes координировал атаки, ставил тактические задачи и внедрял вредоносный код — этот агент работал на модели Anthropic opus-4.6 после того, как более новые версии отказались выполнять подобные запросы; в него загрузили китайскую «личность» под названием «SOUL – Red Team Operator» и 78 атакующих навыков

Основную техническую работу агенты выполняли без вмешательства человека, связывая уязвимости в цепочки: неаутентифицированные SQL-инъекции, чтение одноразовых кодов в открытом виде для обхода двухфакторной аутентификации, небезопасную загрузку файлов, избыточные права через sudo NOPASSWD, открытые секреты в AWS Secrets Manager и доступ к базам Magento с последующей расшифровкой номеров карт.

Агенты заметали следы после кражи данных

После извлечения информации один из агентов, следуя инструкции «Database Wipe After Extraction», очищал поля с данными карт в базах жертв. В одном случае — у ритейлера велосипедов — это привело к удалению порядка 180 таблиц, включая резервные копии.

По собственным расчётам оператора, средняя стоимость одной атаки составила $25,46 (диапазон — от $3,13 до $79,31 на цель), а совокупные затраты на модели через сервис OpenRouter оцениваются в $12 000–18 000. Gambit Security не сообщает о подтверждённых списаниях средств или случаях использования похищенных данных карт для покупок либо вывода денег.

Дополнительные детали от Gambit Security

Директор по анализу угроз Gambit Security Эяль Села (Eyal Sela) в соцсети X раскрыл дополнительные детали: оператор атак развернул собственный сервер, через который скрытно проверял найденные уязвимости и незаметно выгружал украденные данные — в обход обычного, заметного для защиты трафика. По словам Селы, такую инфраструктуру можно вычислить при внешней проверке — она выдаёт характерные, легко узнаваемые признаки. Дальнейшие детали расследования он планирует опубликовать в ближайшие дни.

Отчёт фиксирует один из первых задокументированных случаев, когда цепочку из нескольких ИИ-агентов применили для практически автономного взлома десятков компаний с минимальным участием человека. Итоговый масштаб ущерба — как финансового, так и репутационного для пострадавших ритейлеров — пока остаётся неясным.

Мнение ИИ

С точки зрения машинного анализа данных, случай Gambit Security повторяет структуру, зафиксированную годом ранее: Anthropic задокументировала кампанию китайской группировки GTG-1002, чьи агенты на базе Claude Code самостоятельно выполнили 80–90% тактических операций против трёх десятков организаций, а человек лишь выбирал цели и ключевые решения. Параллель заметна и в деталях — та кампания также использовала декомпозицию задач и подмену контекста, чтобы обойти защитные фильтры модели, а данное расследование фиксирует похожую многоагентную архитектуру: разведка, эксплуатация и координация распределены между отдельными системами, что делает атаку устойчивой к отключению одного компонента.

Технический нюанс за рамками статьи — агент Hermes работал на более старой версии Anthropic opus-4.6 после отказа новых версий модели выполнять подобные промпты. Это говорит о том, что защита моделей от джейлбрейков усиливается от поколения к поколению, а операторы компенсируют это откатом к менее защищённым версиям через сторонние сервисы вроде OpenRouter. Останется ли доступ к устаревшим моделям через агрегаторы постоянной лазейкой для подобных схем?

Источник